NIST IR 8547: le scadenze per abbandonare RSA e curve ellittiche

Il National Institute of Standards and Technology (NIST) ha pubblicato la versione definitiva del rapporto Transition to Post-Quantum Cryptography Standards (NIST IR 8547), la tabella di marcia per abbandonare la crittografia a chiave pubblica che un computer quantistico abbastanza potente potrebbe violare. Secondo Cybersecurity360 il documento è uscito il 27 ottobre 2026. Il rapporto si appoggia sui tre standard post-quantistici pubblicati dal NIST nell’agosto 2024 e indica quali algoritmi sostituire, con quali priorità e con quale calendario.

Non c’è una vulnerabilità da correggere né una patch da installare: c’è una data di scadenza per RSA, Diffie-Hellman e le curve ellittiche, che riguarda anche chi vende tecnologia alle amministrazioni statunitensi o usa prodotti costruiti per quel mercato.

Il calendario: deprecati dopo il 2030, vietati dopo il 2035

Secondo Help Net Security e Cybersecurity360, il rapporto prevede due fasi per la crittografia a chiave pubblica vulnerabile ai quanti:

• dopo il 2030 gli algoritmi sono deprecati: si possono ancora usare, ma chi è responsabile dei dati deve valutare il rischio e decidere se continuare;
• dopo il 2035 sono non ammessi (disallowed) per gli usi disciplinati da standard e linee guida del NIST.

Per i sistemi federali più sensibili le date sono più vicine. L’Executive Order 14412 di giugno 2026 e, secondo Help Net Security, il memorandum OMB M-26-15 chiedono che gli asset di alto valore, i sistemi ad alto impatto e gli altri sistemi sensibili prioritari adottino:

• meccanismi post-quantistici di scambio delle chiavi entro il 31 dicembre 2030;
• firme digitali post-quantistiche entro il 31 dicembre 2031.

Help Net Security ricorda anche che il National Security Memorandum 10 fissa al 2035 il termine per completare la migrazione federale, e che l’Executive Order 14306, con lo stesso memorandum OMB, impone alle agenzie il supporto di TLS 1.3 entro il 2 gennaio 2030. Il NIST, citato da Infosecurity Magazine, scrive che queste scadenze «lasciano poco margine» e richiedono un’azione immediata e continua anche da parte di fornitori di tecnologia, enti di standardizzazione e gestori di infrastrutture.

Cosa sostituire e con cosa

Il rapporto separa le due funzioni della crittografia asimmetrica, che non sono intercambiabili. Secondo la sintesi di Cybersecurity360:

• scambio delle chiavi: RSA, Diffie-Hellman, ECDH e gli altri schemi basati sul logaritmo discreto lasciano il posto a FIPS 203 (ML-KEM);
• firma digitale: RSA, ECDSA ed EdDSA lasciano il posto a FIPS 204 (ML-DSA) e FIPS 205 (SLH-DSA);
• cifratura simmetrica: AES e le principali funzioni hash, con parametri adeguati, restano e non fanno parte della migrazione.

Sempre secondo Cybersecurity360, per ML-KEM il NIST indica ML-KEM-768 come configurazione predefinita; HQC è stato selezionato come alternativa futura, ma il suo standard è ancora in preparazione.

La priorità va allo scambio delle chiavi, per il rischio harvest now, decrypt later: traffico cifrato registrato oggi potrebbe essere decifrato quando esisterà un computer quantistico adatto. Infosecurity Magazine indica come prioritaria la migrazione a FIPS 203 per i dati molto sensibili o da proteggere a lungo. Per le firme il rischio diventa concreto solo quando quel computer esisterà, ma certificati, firmware e dispositivi restano in servizio per anni e vanno pianificati per tempo. Secondo Infosecurity Magazine, Microsoft ha avvertito che computer quantistici in grado di violare la crittografia asimmetrica potrebbero arrivare prima del previsto, forse entro cinque anni.

Configurazioni ibride e catena di fornitura

Il NIST ammette configurazioni ibride, che combinano un algoritmo tradizionale e uno post-quantistico nella stessa operazione di scambio delle chiavi: la protezione resta anche se uno dei due si rivela debole. Infosecurity Magazine e Cybersecurity360 riportano però che richiedono più risorse di calcolo; Cybersecurity360 aggiunge complessità di progettazione e la necessità di test indipendenti. Usare i due algoritmi in connessioni separate non è una configurazione ibrida.

Il rapporto chiede inoltre di guardare all’intera catena di fornitura crittografica, non solo ai propri sistemi (Infosecurity Magazine). La capacità di migrare dipende da librerie, moduli HSM, certificati, protocolli e dai tempi dei fornitori; secondo Help Net Security il NIST ricorda che le transizioni crittografiche precedenti hanno richiesto da 10 a 20 anni. I sistemi che non potranno supportare la crittografia post-quantistica vanno individuati e messi in programma per la sostituzione o la dismissione. Il National Cybersecurity Center of Excellence del NIST sta preparando materiale pratico per la migrazione.

Impatto per le aziende europee e italiane

Le date statunitensi non sono obblighi per le imprese italiane, come sottolinea Cybersecurity360, ma toccano i fornitori globali e quindi i prodotti che compri. Secondo Infosecurity Magazine, Cloudflare, Google e Microsoft si sono date il 2029 come termine per la propria migrazione completa, mentre Canada, Australia, Giappone e Regno Unito hanno fissato scadenze tra il 2028 e il 2030 per i sistemi pubblici critici.

Per l’Europa il riferimento resta la roadmap coordinata adottata dagli Stati membri nel giugno 2025: avvio della transizione entro la fine del 2026 e protezione dei casi ad alto rischio e delle infrastrutture prioritarie entro il 2030. In Italia l’ACN ha aggiornato l’11 giugno 2026 le linee guida sulle funzioni crittografiche, comprese le indicazioni per TLS.

Per i soggetti NIS2 le politiche sull’uso della crittografia fanno già parte delle misure di gestione del rischio; nel settore finanziario il regolamento delegato DORA 2024/1774 (articolo 6) chiede una politica documentata sui controlli crittografici. Sanità e pubblica amministrazione, che custodiscono dati riservati per decenni, sono tra le più esposte all’harvest now, decrypt later.

Cosa fare subito

1. Fai l’inventario della crittografia: algoritmi, protocolli, certificati e librerie associati a servizi, applicazioni e dati, compresi OT, pipeline di sviluppo e prodotti di terzi.
2. Dai priorità ai dati di lunga durata: le comunicazioni che trasportano dati riservati per anni vanno protette per prime, con scambio delle chiavi post-quantistico o ibrido dove è disponibile.
3. Porta i servizi a TLS 1.3, la versione che le agenzie federali statunitensi dovranno supportare entro il 2 gennaio 2030.
4. Chiedi ai fornitori quali algoritmi post-quantistici supportano, da quando e come si aggiornano, soprattutto per VPN, HSM, apparati di rete, cloud e dispositivi con lunga vita utile.
5. Non sostituire ciò che non serve: AES e le funzioni hash approvate restano; concentra le risorse su scambio delle chiavi e firme.
6. Pianifica la crypto-agility, cioè la possibilità di cambiare algoritmi senza fermare i servizi, e individua i sistemi da dismettere perché non potranno migrare.

Come aiuta ARXDOME

ARX Expose mostra cosa della tua azienda è visibile da internet, compresi certificati, porte aperte e prodotti riconosciuti; con ARX Scout Assessment, su tua autorizzazione, si verificano anche certificati e protocolli superati sui tuoi indirizzi pubblici. ARX Sentry raccoglie l’inventario di sistemi e software delle macchine monitorate. Insieme danno un punto di partenza per l’inventario crittografico, dentro e fuori l’azienda.

Ultimo aggiornamento: 29 ottobre 2026